上一节我们学习了主机日志与审计配置，构建了攻击溯源的 “最后一道防线”；而终端杀毒与防护配置，是主机安全的 “事中防护” 核心 —— 从病毒查杀到恶意行为监控，从进程防护到文件防篡改，它能在攻击发生时，及时发现并阻断恶意程序，防止主机被攻陷。本节我们将拆解终端杀毒的配置要点、企业级防护（EDR）的核心功能与落地方法，帮你筑牢主机的实时防护防线。
一、什么是终端杀毒与防护？
1. 基础定义
终端杀毒与防护，是安装在主机上的安全软件，用于查杀已知病毒、木马、恶意软件，监控并阻断主机上的异常行为，分为传统杀毒软件（AV）和端点检测与响应（EDR）两类：
- 传统杀毒软件（AV）：基于病毒库查杀已知恶意程序，适合办公电脑等普通终端
- EDR（端点检测与响应）：在 AV 的基础上，增加了异常行为监控、无文件攻击检测、远程响应处置功能，适合核心业务服务器等高价值终端
2. 为什么终端防护是主机安全的 “刚需”？
- 阻断恶意软件入侵：防止病毒、木马、勒索软件植入主机，避免数据被加密或窃取
- 监控攻击行为：在攻击者植入后门、横向移动的过程中，及时发现并阻断，防止攻击扩散
- 满足合规要求：等保 2.0 要求关键终端必须安装杀毒软件，具备恶意代码防护能力
二、传统终端杀毒软件配置要点（企业通用落地版）
1. 部署与安装
- 优先选择企业版杀毒软件（如 360 企业版、火绒企业版、腾讯御点），支持批量部署和统一管理，避免使用个人版杀毒软件
- 通过域组策略、推送工具批量安装，覆盖所有终端，包括服务器和办公电脑
2. 核心防护策略配置
表格
| 配置项 | 配置方法 | 核心作用 |
|---|---|---|
| 实时文件监控 | 启用所有文件类型的实时监控，包括可执行文件、脚本、Office 文档 | 发现并阻止恶意文件写入主机 |
| 脚本与宏监控 | 启用 PowerShell、VBS 脚本和 Office 宏监控，拦截恶意脚本执行 | 防止宏病毒、无文件脚本攻击 |
| 邮件与下载监控 | 监控邮件附件、浏览器下载文件，自动扫描可疑文件 | 阻断通过钓鱼邮件、恶意网站投递的恶意软件 |
| 进程行为监控 | 监控进程创建、修改、注入行为，拦截异常进程 | 发现并阻断恶意程序运行 |
3. 病毒库与扫描策略
- 配置病毒库自动更新，每天同步最新病毒库，确保能查杀最新恶意软件
- 定期全盘扫描：办公电脑每周一次，服务器每月一次，重点扫描系统盘、用户目录、下载目录
- 自定义扫描规则：针对业务场景，配置重点目录扫描，如 Web 服务器的网站根目录、数据库服务器的数据目录
4. 误杀处置与白名单管理
- 建立误杀处置流程：发现误杀业务程序后，提交审核，确认安全后加入白名单
- 白名单严格管控：仅将业务必需的可执行文件、脚本加入白名单，禁止随意添加
- 定期清理过期白名单：业务下线后，及时删除对应的白名单，避免留下安全隐患
三、进阶防护：EDR（端点检测与响应）核心配置
对于核心业务服务器，仅靠传统杀毒软件无法防御新型攻击（如无文件攻击、APT 攻击），必须部署 EDR，实现全场景防护。
1. EDR 核心功能配置
表格
| 功能模块 | 配置要点 | 防护场景 |
|---|---|---|
| 进程行为监控 | 监控所有进程的创建、注入、内存修改、隐藏行为，配置告警规则 | 发现无父进程、注入系统进程的恶意程序 |
| 网络外联监控 | 监控主机的 TCP/UDP 外联行为，拦截访问恶意 IP、可疑 C2 通信、大量数据外发 | 阻断攻击者的 C2 通信和数据窃取行为 |
| 文件与注册表防护 | 监控系统目录、注册表关键项的修改，配置防篡改规则 | 防止恶意程序修改启动项、植入后门 |
| 无文件攻击检测 | 监控 PowerShell、WMI、COM 组件的执行行为，拦截无文件恶意代码 | 防御不落地文件的无文件攻击 |
| 自动响应处置 | 配置告警自动处置策略，如阻断恶意进程、隔离主机、清除恶意文件 | 攻击发生时自动响应，降低处置成本 |
2. EDR 部署与管理
- 按业务分级部署：核心业务服务器部署全功能 EDR，普通办公电脑部署轻量版
- 告警统一管理：所有 EDR 告警上报到企业安全平台，集中分析和处置
- 定期规则更新：同步厂商的最新威胁规则，针对新型攻击更新防护策略
四、企业终端防护完整落地流程
- 评估阶段：梳理企业所有终端，按业务重要性分级，确定不同终端的防护方案（AV/EDR）
- 部署阶段：批量推送安装防护软件，优先覆盖核心业务服务器，再覆盖办公电脑
- 配置阶段：根据业务场景定制防护策略，服务器配置轻量模式，避免影响性能；办公电脑启用全量防护
- 测试阶段：在测试主机上验证防护策略，确保不误杀业务程序，不影响系统运行
- 上线与监控：批量上线，通过管理平台监控所有终端的防护状态，建立告警处置闭环
- 持续优化：定期更新病毒库和防护规则，调整白名单，优化告警策略，减少误报
五、企业落地常见误区（避坑指南）
- 误区 1：只装不更，病毒库长期不更新：病毒库是杀毒软件的核心，不更新就无法查杀最新恶意软件，等于 “装了个摆设”
- 误区 2：默认策略不调整，要么防护过严要么过松：默认策略可能误杀业务程序，或遗漏关键防护项，必须根据业务场景定制
- 误区 3：只防办公电脑，忽略服务器防护：服务器是攻击者的主要目标，必须部署 EDR 等高级防护，监控异常行为
- 误区 4：白名单乱加，给恶意程序开绿灯：误杀后直接把可疑程序加入白名单，导致恶意软件绕过防护，白名单必须严格审核
- 误区 5：告警不处置，堆在平台里无人管：EDR 每天产生几百条告警，不处置等于没防护，必须建立告警处置闭环
- 误区 6：只靠防护软件，不做员工安全培训：员工点击钓鱼邮件、下载恶意软件是终端感染的主要途径，防护软件只是辅助手段
📝 本节小结
终端杀毒与防护配置的核心，不是 “防护越多越好”，而是根据终端的业务重要性，选择合适的防护方案，实现从查杀已知病毒到检测未知威胁的全场景防护。传统杀毒软件适合普通终端，EDR 则是核心服务器的必备防护工具，两者结合，再加上严格的策略配置和告警处置闭环，才能真正筑牢主机的事中防护防线。
No responses yet